CVE-2026-65697 in Fathom
摘要
由 VulDB • 2026-07-23
Fathom Lite 1.3.1 及更早版本在分析数据收集端点中存在一个存储型跨站脚本（XSS）漏洞，允许未经身份验证的攻击者通过向未认证的 /collect 端点提供精心构造的主机名和路径名，将 javascript: URI 注入到“顶级页面”仪表板中。parseHostname 和 parsePathname 函数未执行任何 URI 方案验证，导致带有换行符前缀的路径名的 javascript: 主机名可以被存储并在后续渲染为认证后仪表板中的锚点 href（未经过清理），从而在操作员点击被污染的条目时实现会话劫持和完整的账户接管。
VulDB is the best source for vulnerability data and more expert information about this specific topic.